Fehlerhafte Autorisierung

Authentifizierung bestätigt, wer Sie sind. Autorisierung legt fest, was Sie tun dürfen.

Fehlerhafte Autorisierung bedeutet, dass das System Benutzern erlaubt, Dinge zu tun oder zu sehen, die ihnen nicht erlaubt sein sollten.

BOLA steht für Broken Object Level Authorization.

Es ist das größte API-Risiko: Eine API prüft, ob Sie angemeldet sind, aber nicht, ob das konkrete von Ihnen angeforderte Objekt tatsächlich Ihnen gehört.

Stellen Sie sich vor, Ihr Benutzerkonto hat die Nummer 100.

Wenn Sie die ID ändern und der Server weiterhin antwortet, haben Sie gerade die Bestellungen einer anderen Person gelesen. Das ist BOLA.

Entwickler vertrauen häufig der ID in der Anfrage.

Sie vergessen zu überprüfen, ob der angemeldete Benutzer dieses Objekt tatsächlich besitzt. Die Lösung ist eine Besitzprüfung bei jeder Anfrage.

Ein weiterer Fehler ist BFLA: Broken Function Level Authorization.

Ein normaler Benutzer ruft eine ausschließlich für Administratoren vorgesehene Aktion auf, und sie funktioniert, weil der Endpunkt die Rolle des Benutzers nicht überprüft.

Betrachten Sie eine Admin-Route:

Wenn ein regulärer Benutzer sie erfolgreich aufrufen kann, hat die API den rollenbasierten Zugriff nicht durchgesetzt.

Manche APIs übertragen Anfragefelder blind auf einen Datensatz.

Ein Benutzer könnte einem Profilupdate ein Feld wie role=admin hinzufügen und seine eigenen Berechtigungen unbemerkt erweitern.

Verlassen Sie sich niemals darauf, dass der Client Schaltflächen oder Felder ausblendet.

Der Server muss jede Autorisierungsentscheidung durchsetzen, da Angreifer Anfragen direkt senden und Ihre Benutzeroberfläche vollständig umgehen.

Fortlaufende IDs machen BOLA leicht ausnutzbar.

Die Verwendung zufälliger Bezeichner wie einer UUID ersetzt keine Autorisierungsprüfungen, verhindert aber den einfachen Angriff durch Erraten der nächsten Zahl.

Eine sichere API verweigert standardmäßig den Zugriff.

Zugriff wird nur gewährt, wenn eine ausdrückliche Regel ihn erlaubt. So schlägt eine vergessene Prüfung sicher fehl, anstatt Daten preiszugeben.

Autorisierungsfehler lassen sich leicht übersehen; testen Sie daher gezielt auf sie.

Versuchen Sie, mit Ihrem eigenen Token auf die Daten eines anderen Benutzers zuzugreifen. Wenn das funktioniert, haben Sie einen schwerwiegenden Fehler gefunden, der behoben werden muss.

Eine API bestätigt, dass Sie angemeldet sind, gibt aber den Datensatz eines anderen Benutzers zurück, wenn Sie die ID ändern. Um welchen Fehler handelt es sich?

Fehlerhafte Autorisierung ermöglicht Benutzern den Zugriff auf Dinge, die ihnen nicht zugänglich sein sollten. Achten Sie auf BOLA, BFLA und Mass Assignment.

Setzen Sie Besitz- und Rollenprüfungen auf dem Server durch, lehnen Sie standardmäßig ab und testen Sie die Autorisierung gezielt.